Pam mae copïo ca.key i bob cleient VPN yn torri’r CA

Rhywle yn y cyfarwyddiadau gosod, caiff cyfeiriadur ei gopïo’n gyfan i bob gliniadur am ei bod yn haws na phenderfynu pa ffeiliau sy’n perthyn yno. Mae’r cyfeiriadur hwnnw’n cynnwys ca.key, ac yn y foment y cyrhaedda ail ddyfais, mae’r awdurdod tystysgrifau yn peidio â bod yn awdurdod. Gall pob deiliad nawr gyhoeddi hunaniaethau y bydd gweddill y rhwydwaith yn ymddiried ynddynt.

Mae’n werth datrys y dryswch unwaith, oherwydd mae’r ddau ffeil yn edrych yn debyg ac yn gwneud pethau croes.

Deunydd gwirio a deunydd llofnodi

Mae ar gleient angen tystysgrif gyhoeddus y CA i wirio bod y dystysgrif a gyflwynir gan gyfoedr wedi’i llofnodi gan yr awdurdod hwnnw. Tasg wirio yw hon, ac nid oes angen unrhyw gyfrinach arni o gwbl. Mae llofnodi tystysgrif cyfoedr yn dasg wahanol, a wneir unwaith gan bwy bynnag sy’n rhedeg y CA, gyda’r allwedd breifat nad yw byth yn gadael ei storfa warchodedig. Cadw’r ddwy dasg ar wahân yw holl bwynt cludo dau ffeil.

Felly mae ca.crt yn perthyn i’r proffil ac nid yw ca.key yn perthyn yn unman yn agos ato. Confensiwn yw’r enwau ffeil, nid gwarant, a dyna pam y mae’n rhaid archwilio’r math yn hytrach na’i gasglu o’r enw.

Nid yw pensaernïaeth â CA canolraddol neu wasanaeth cyhoeddi ar-lein yn eithriad i hyn. Dyma’r ffordd safonol o gadw’r gallu i lofnodi oddi wrth bennau terfyn tra’n cyhoeddi tystysgrifau dyfais ar raddfa.

Beth ddylai cleient ei brofi â’i allwedd ei hun

Mae pob dyfais yn cael ei phâr allweddi ei hun a’i thystysgrif ei hun, wedi’i llofnodi unwaith gan y CA. Mae’r cleient yn cyflwyno’r dystysgrif honno ac yn profi ei fod yn meddu ar yr allwedd breifat gyfatebol, ac mae’r gweinydd yn penderfynu a ddylid ei derbyn. Hon yw’r hunaniaeth a ddirymir pan gollir gliniadur.

Mae’r cyferbyniad yn bwysicaf ar ôl lladrad. Gyda hunaniaethau fesul dyfais, mae un cleient agored yn cael ei symud drwy ddirymiad neu drwy dynnu cyfoedr, ac mae gweddill y fflyd yn parhau i weithio.

Ni ellir trin allwedd awdurdod sydd wedi gollwng fel yna. Mae pob tystysgrif a lofnododd neu a allai ei llofnodi yn dod dan amheuaeth, felly’r ymateb yw disodli’r ymddiriedaeth yn hytrach na dirymiad sengl. Prosiect yw hwn, nid tocyn.

Darllen ffeil cyn ei chopïo i unrhyw le

Mae dau orchymyn yn dweud wrthych pa fath o wrthrych sydd gennych heb argraffu unrhyw gyfrinach. Mae’r cyntaf yn enwi’r pwnc a baner y CA ar dystysgrif; mae’r ail yn dilysu allwedd ac yn adrodd ei math. Rhedwch y ddau ar y ffeiliau yn y bwndel rydych ar fin ei ddosbarthu. Nid oes unrhyw beth sy’n dilysu fel allwedd breifat yn perthyn i gyfeiriadur cleient.

openssl x509 -in ca.crt -noout -subject -ext basicConstraints
openssl pkey -in ca.key -noout -check

Os bydd yr ail orchymyn yn llwyddo ar ffeil sydd mewn bwndel cleient, stopiwch a thriniwch y bwndel fel un sydd wedi’i gyfaddawdu. Mae allbwn sy’n dweud bod allwedd yn ddilys hefyd yn dweud ei bod yn bresennol, a phresenoldeb yw’r broblem i gyd.

Sylwch ar y cyfeiriad arall hefyd: mae proffil cleient yn cynnwys allwedd breifat y cleient hwnnw yn gyfreithlon. Mae dileu pob allwedd a welwch yn torri’r cysylltiad heb wella dim, felly rhaid adnabod y gwrthrych cyn ei dynnu.

Cyfyngu allwedd rydych eisoes wedi’i dosbarthu

Peidiwch â chymryd bod dileu’r copi lleol yn gwrthdroi’r datguddiad. Gallai unrhyw un a gafodd y ffeil fod wedi’i gopïo, a’r dybiaeth ddiogel yw iddo wneud hynny. Dilynwch broses ddigwyddiadau’r gweithredwr a disodlwch angor yr ymddiriedaeth, gan ailgyhoeddi tystysgrifau dyfais o dan CA newydd.

Yna newidiwch y pecynnu a greodd y broblem. Anfonwch restr cyfeiriadur gyda rhestr caniatâd benodol o ffeiliau, cadwch allwedd y CA ar beiriant nad yw byth yn ymuno â fflyd y cleientiaid, a chofnodwch pa system sy’n ei chadw.

Os oes rhaid i’r awdurdod gyhoeddi’n aml, symudwch y llofnodi y tu ôl i wasanaeth neu CA canolraddol â chwmpas cul a dilysrwydd byr. Fel yna mae camgymeriad yn y dyfodol yn datgelu is-set o’r cyhoeddi yn hytrach na gwreiddyn ymddiriedaeth y defnydd cyfan.